JP2000506620A

JP2000506620A - Ｃａｓｔ設計手順を用いた対称暗号構成方法

Info

Publication number: JP2000506620A
Application number: JP9521561A
Authority: JP
Inventors: アダムス・カーリスル・マイケル; ワイエナー・マイケル・ジェームズ; ロックハート・ローランド・トーマス
Original assignee: ノーザン・テレコム・リミテッド
Priority date: 1995-12-08
Filing date: 1996-11-27
Publication date: 2000-05-30
Also published as: CA2164768A1; EP0953244B1; US5825886A; WO1997022192A1; EP0953244A1; CA2164768C; DE69624514D1

Abstract

(57)【要約】差分暗号解析、線形暗号解析、および関連キー暗号解析に対し証明可能に対抗できる所望の暗号特質を有するＤＥＳ風の代用置換ネットワーク（ＳＰＮ）暗号システムのファミリーを構成する新しい設計手順を説明する。この手順を用いて生成されたＣＡＳＴと呼ばれる新しい暗号システムについても述べる。設計上の選択肢に関する詳細が説明され、それには、要素代用ボックス（Ｓボックス）、全体フレームワーク、キー・スケジュール、および丸め関数などが含まれる。この設計処理の出力である全体的に特定されたＣＡＳＴ暗号例を用いて、概念を理解する説明、および暗号委員会による詳細な分析が提供される。

Description

【発明の詳細な説明】発明の名称ＣＡＳＴ設計手順を用いた対称暗号構成方法発明の分野本発明は、一般的に対称暗号システムおよびその構成手順に関するものである。特に、データ暗号化基準（ＤＥＳ:Data Encryption Standard）風の代用置換( Substitution-Permutation)ネットワーク暗号システムのファミリーに属する新しい暗号と、そのような新しい暗号を用いて、平文を暗号テキストに暗号変換する方法に関するものである。また、本発明はそのような新しい暗号を構成する手順に関するものである。背景技術本発明は、対称暗号化アルゴリズムのファミリーに対する設計手続きに関するものである。ＣＡＳＴ暗号として生成された暗号は、差分（Differential）暗号解析、線形暗号解析、および関連キー暗号解析に対し対抗できることが証明できる。さらに、これらの暗号は、多くの望ましい暗号特質、を有することが分かっており、たとえば、アバランシェ、完全（strict）アバランシェ基準（ＳＡＣ）、ビット独立基準（ＢＩＣ）、および弱（weak）キーおよび半弱（semi-weak）キーの欠如などが挙げられる。ＣＡＳＴ暗号は、ＤＥＳにおいて用いられるフレームワークであるファイステル（Feistel）暗号フレームワークに基づいている。このフレームワークは良く理解され、同時にかなり解析されているが、ＤＥＳより少ない丸めによって、ＤＥＳと比べ、良い暗号特質を保証するための丸め機能およびキー・スケジュールにおいて改善がある。従って、ＣＡＳＴ暗号は高質の暗号化／復号化性能を有しており（同様の暗号強度を有した他の種々の方法と好意的に比較してもそうである）、３２ビット・マシーン上のソフトに特に適するように、パラメータ設計を行うことができる。ＣＡＳＴ設計手順の側面のいくつかは、Ｃ．Ｍ．アダムスおよびＳ．Ｅ．タバレス著、「差分暗号解析に対抗できる暗号用Ｓボックスの設計」、暗号に関するリサーチの状態および発展に関する第３シンポジウム、イタリア、ローマ、１９９３年、第１８１頁〜第１９０頁；および、Ｃ．Ｍ．アダムス著、「対称暗号用単純かつ効果的キー・スケジュリング」、暗号選択領域（ＳＡＣ９４）に関する作業部会における作業部会記録、１９９４年５月５日〜６日、第１２９頁〜第１３３頁；およびＣ．Ｍ．アダムス著、「差分および線形攻撃に対して保証された対抗力を有するＤＥＳ風の暗号設計方法」、暗号選択領域（ＳＡＣ９５）に関する作業部会での作業部会記録、１９９５年５月１８日〜１９日、第１３３頁〜１４４頁において開示されている。１９９６年４月父に発行の米国特許第５，５１１，１２３号（アダムス）にも、より詳細にＣＡＳＴ暗号が説明されている。対称暗号化アルゴリズムの一般的な設計手順の検索結果のいくつかを以下に述べる。（１）データ暗号化基準（ＤＥＳ）の使用できる期間は限定されるという憶測と警告が長い間続いてきたにもかかわらず、このアルゴリズムは種々の環境の中でその立場を守ってきた。その理由の一部として、許容できる速度と安全性を保ちながら、ＤＥＳの代わりとなる候補が存在しなかったことが挙げられる。（２）新たなしかも強力な暗号解析による攻撃によって、新たな候補の再設計を行わねばならなくなった。候補の例としては、Ｅ．ビハムおよびＡ．シャミアによる「ＦＥＡＬおよび」−Ｈａｓｈの差分暗号解析、暗号学の進歩」、’９１年ユーロクリプト予稿、スプリンガー・ベーラグ、１９９２年、第１頁〜第１６頁に開示されるＦＥＡＬ；Ｅ．ビハムおよびＡ．シャミアによる「スネフル、カフレ、ＲＥＤＯＣＩ、ＬＯＫＩおよびルシファの差分暗号解析、暗号学の進歩」：’９１ユーロクリプト予稿、スプリンガー・ベーラグ、１９９２年、第１５６頁〜第１７１頁に開示されるＬＯＫＩ；および、Ｘ．ライおよびＪ．Ｌ．マッセイによる「新しいブロック暗号基準への提案、暗号学の進歩」、’９０ユーロクリプト予稿、スプリンガー・ベーラグ、１９９１年、第３８９頁〜第４０４頁に開示されるＩＤＥＡなどがある。従って、暗号解析攻撃を止めさせ、設計手順それ自身において暗号解析攻撃を取り除く必要がある。そうすれば、この手順で生成されたアルゴリズムは、これらの攻撃に対して免疫性を発揮することができる。（３）「国内強度」の暗号と「輸出可能強度」の暗号間の連続する不均衡、および輸出可能強度（たぶん「商業的証明書」に依存する）の暗号の種々のバリエーションの可能性は、キーサイズが少なくともファミリーの特定の例を定義するパラメータの１つである場合には、ＤＥＳ置き換えアルゴリズムの方法論はほとんど破棄され、アルゴリズムのファミリーを記述する設計手順に入れ替えられるということを意味する。ＲＣ−２、ＲＣ−４およびＲＣ−５などの最近の暗号は、この要求を認識し解決した。本発明が関連するＣＡＳＴ設計手順は、暗号委員会が数十年かけて、強力に解析したフレームワークに基づいている。ＣＡＳＴフレームワークは、ファイステル構成で用いられる「代用置換ネットワーク」（ＳＰＮ）概念である。図１は、一般的なファイステル構成ＳＰＮを示している。この図の構成の、基本的動作を以下に述べる。ｎビットのメッセージ・ブロックが入力され、左半分Ｌおよび右半分Ｒに分割される。右半分およびサブキーＫｉが、「丸め関数」ｆ１に入力され、その出力を用いて左半分を変更する（ＸＯＲ加算を行う）。左半分と右半分を交換することによって、丸め１が完了する。このプロセスは暗号に対して定義される多くの丸めに対し継続される。最終丸め（この丸めは、暗号復号処理を単純化するために、交換を行わない）が終わった後、左半分と右半分を結合し、暗号テキストを形成する。フレームワークに対して選択できるパラメータは、ブロック・サイズ（平文および暗号テキスト・データ・ブロックの双方に含まれるビット数）および丸め回数である。全ての場合に対して、「より高」は典型的にはより高い安全性を意味するが（特に丸め回数に対しては）低減暗号化／復号化速度を意味しない。実際には、平文と暗号テキストのブロックサイズが等しくなるように選択し、暗号化処理によってデータが増加しないようにする（これは多くのアプリケーションで重要である）。丸め関数は、代用ボックス（ｓボックス）を有している。ｍ×ｎ個のｓボックスは（ｍ×ｘｎ）参照テーブルであり、この参照テーブルは、ｍビットの入力をｎビットの出力へ非線形的に代用（または置き換え）し、入カベクトルでの変化によって、出力ベクトルがランダムに参照される。ＳＰＮ暗号中の代用レイヤは、アルゴリズム中の非線形の主なソースであるため、安全性を確保するのに非常に重要である。ｍ×ｎのｓボックスにおけるｍおよびｎは、どんな値でもかまわない。しかしながら、ｍが大きくなればなるほど、（指数関数的に）参照テーブルも大きくなる。従って、典型的にはｍは１０以下とされる。ＣＡＳＴ設計手順では、出力ビット（例：８×３２）よりも入力ビットが少ない代用ボックスを用いる。これは、ＤＥＳやほかの暗号方法のように入力ビット数が出力ビット数（例：６×４）より多いものとは逆である。高質のキー・スケジュールを設計するのは、暗号設計において重要な側面である。ＣＡＳＴ設計手順中のキー付け処理は、ファイステル・ネットワークにおいて通常採られている方法を用いる。つまり、入力キー（主キー）を用いて、特定のキー・スケジュリング・アルゴリズムに基づいて、複数のサブキーを形成する。所定の丸めに対するサブキーを、その丸め関数に入力し、その丸めに対するデータを変更するのに用いる。ＣＡＳＴ設計手順のキー・スケジュリングと公知の文献に開示されている他のスケジュールの大きな違いは、サブキーを形成するのに代用ボックスを用いるかどうかという点である。他のキー・スケジュール（例えば、ＤＥＳで用いられるスケジュールなど）では、通常、複雑なビット選択アルゴリズムを用いて、丸めＩのサブキーに対する主キーのビット選択を行う。このビット選択アルゴリズムが弱い場合、丸め回数に関わりなく、単純な暗号解析になる。本発明による、ＣＡＳＴで行うスケジュールは、非常に簡潔なビット選択アルゴリズムと「キー・スケジュールｓボックス」の組を用い、各丸め用にサブキーを生成する。このようなｓボックスは、暗号化手法で高品質のキー・スケジュールを保証するためには、特定の特徴を有している必要がある。これらの特質については、上記の米国特許に詳細に述べられている。上でも述べたが、ＣＡＳＴ中の丸め関数は、出力数よりも入力数の少ないｓボックスを利用する。これは、以下のように実現できる。丸め関数内で、入力データの半分がサブキーによって変更され、いくつかの部分に分割される。各部分は、別々の代用ボックスに入力され、ｓボックスからの出力が組み合わされ、結果として丸め関数出力が供給される。各ｍ×ｎのｓボックスは、必ずデータを増加させるが（ｍ＜ｎであるため）、上記のようにｓボックスの組を用いると、メッセージの半分は増加せず、ＳＰＮの入力ブロックサイズおよび出力ブロックサイズを等しくすることができる。丸め関数設計において、差分および線形攻撃に対する防御策をとる必要がある。差分および線形暗号解析は、種々の代用置換ネットワーク（ＤＥＳ風の）に適用される汎用的な攻撃であるように思われる。どちらの方法も、１つの丸め中に確率の高い攻撃を発見し、その後「特性」（有用な方法で相互作用する連続する丸めの組）を構築するというする原理に基づいて動作する。特性に十分な丸め回数が含まれていると、暗号の解析ができる。特性の確率は、それに含まれる丸めの確率の積に等しい。この「特性確率」が、攻撃の仕事率を決定する。攻撃の仕事率が、キー・スペースの全数検索の仕事率より小さい場合、理論上、暗号は壊される。以上の説明から、差分攻撃または線形攻撃の仕事率を増加させるために、いつでもＤＥＳ風の暗号に丸めを追加することができ、丸めの追加は仕事率が全数キー検索の仕事率を越えるまで可能であることが分かる。こうすると、計算上、暗号はこれらの攻撃に対して抗力を有するようになる。この方法の不利な点は、丸めを追加する度に係数が１／Ｎに落ちるので、暗号の暗号化／復号化速度がひどく低下することである。ここでＮは、もとの暗号に存在した丸め回数を示す。多くの研究者が追求したもう１つの方法に、丸めｓボックスの特質を向上させ、各丸め攻撃の確率を減少させるものがある。こうすると、同数の丸めに対して特性確率が低下するため、スループットを低下させることなく、暗号がこれらの攻撃に対して抗力を有するようにすることができる。しかしながら、所定の暗号に対し、丸め確率は追加の丸めをしないで済む程度に十分小さくできない可能性が常にある。さらに、所定の暗号に対し、最適の特性が見つからないという可能性も常に存在する（見つかった場合は、暗号解読は壊されることがある）。本発明の設計手順は、以上の方法のどちらをも用いない。その代わりに、本発明は典型的なＤＥＳ風の丸め関数を少しだけ変化させ、差分および線形暗号解析に対して「固有の免疫性」（計算上の免疫性に対する）とする。このように、丸め関数を少しだけ変化させる方法は、全てのＤＥＳ風の暗号に利用することができ、暗号によっては、暗号化／復号化速度にほとんど劣化がないように追加できる。発明の目的従つて、本発明の目的は、対称暗号に対して新しい構成手順を提供することにある。また、本発明の目的は、差分暗号解析、線形暗号解析、関連キー暗号解析のような１以上の所望の特質を有する新しい対称暗号を提供することにある。さらに、本発明の目的は、新しい丸め関数を用いて、平文を暗号テキストに暗号変換する方法を提供することにある。発明の概要簡単に述べると、本発明の１実施の形態によれば、本発明は、各データ・ブロックの半分の複数の連続した変換丸めを有する所定のビット長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法に関する。各連続変換丸めは、第１のバイナリ動作を用いて、半分のデータ（半データという）・ブロックを所定の長さの第１のマスキング・キーと組み合わせ、第１の変更後の半データ・ブロックを生成し、第２の異なったバイナリ動作を用いて、第１の変更後の半データ・ブロックを、所定の長さの第２のマスキング・キーと組み合わせ、第２の変更後の半データ・ブロックを生成する。この方法は、さらに、ｍおよびｎが正整数の時、複数の（ｍ×ｎ）個の相互に異なった代用ボックスを用いて、第２の変更後の半データ・ブロックを処理し、第３の変更後の半データ・ブロックを生成し、第３の変更後の半データ・ブロックと、データブロックの残りの半分をＸＯＲ処理し、変換丸めの変換後の半データ・ブロックを生成する。図面の簡単な説明図１は、既知のＳＰＮ（代用置換ネットワーク）暗号を示す図である。図２は、本発明の一実施の形態による丸め関数を示す図である。発明の実施の形態以上説明した通り、フレームワーク設計中の主パラメータで選択できるのは、ブロックサイズおよび丸め回数である。多くの利用法において、平文のブロックサイズと暗号文のブロックサイズが同じであることが望ましい（以下では、暗号のブロックサイズと呼ぶことにする）。しかしながら、１つのキーに対して平文／暗号文対の総てのコンパイルをしない程度にブロックサイズが大きいという制約を別にすれば、ブロックサイズを考慮するのみで具体化が容易にできる。現在のマシンでは、データの左右半分のそれぞれおよびその他の変数が、３２ビット・レジスタにうまい具合に適応するため、６４ビット（ＤＥＳのブロックサイズ）を選択するのが魅力的である。しかしながら、将来的には、他の理由から、他のビット数を選択するのが都合が良くなるかもしれない。フレームワーク中の丸め回数を決定するのは、より重要かつ繊細な問題である。所定のレベルの安全性を提供するには十分な丸め回数が必要であるが、目的のアプリケーションに対し、暗号の速度が受け入れられない程遅いことはそんなに多くはない。ファイステル・タイプのＳＰＮでは、入力データの左半分は、丸め関数の出力によって丸め１，３，５，７などに変更され、右半分は丸め２，４，６，８等に変更されることは明白である。このように、両半分を同等に処理するために、丸め回数は偶数でなければならないことも明らかである。しかしながら、いくつの丸めが「十分」であるのかについては、はっきりしていない。現在知られているＤＥＳ風の暗号に対する２つの最も強力な攻撃である差分暗号解析および線形暗号解析は、暗号の設計パラメータ量を決定する上で助けとなる。例えば、長い間、５回または６回の丸めを行うＤＥＳ風の暗号は解読できることは知られていたが、１９９０年に差分暗号解析が紹介されるまで、何故１６回の丸めが設計に用いられ、それ以下の丸めでは、差分攻撃に耐えうることができないとかということは明らかでなかった。差分攻撃への改良、線形暗号解読の紹介によって、現在では、ＤＥＳがキーサイズと理論的に同じぐらいの強度を有するためには、１８〜２０回の丸め回数が必要であるとされている。従って、注意深い設計ガイドラインでは、差分暗号解析、線形暗号解析双方に対し、許容される高い仕事率を有する多くの丸め回数を選択し、さらに２〜３回の丸めを加えるか、またはこのような攻撃がより困難になるように丸め関数を変更する（「安全マージン」を付加するために）。本発明の一実施の形態による設計手順では、安全性と性能を両方を考慮して、第２の方法を採用した。図２は、本発明の一実施の形態の丸め関数を示す図である。この実施の形態では、６４ビットのブロックサイズと、８×３２のｓボックスを用いる。図において、３２ビットデータの半分がサブキーＫｉと共に丸め関数に入力される。この２つの値は、動作「ａ」を行うことによって加算され、和の３２ビットのデータが４つの８ビットの部分に分割される。この各部分は、差分８×３２のｓボックス（Ｓ₁，・・・，Ｓ₄）に入力される。ＳボックスＳ₁およびＳ₂は動作「ｂ」を用いて組み合わされる。その和は、動作「ｃ」を用いて、Ｓ₃と組み合わせる。この第２の和を、動作「ｄ」を用いて、Ｓ₄と組み合わせる。最終的な３２ビットの結果が丸め関数の出力となる。本発明の一形態による丸め関数では、全ての動作（ａ，ｂ，ｃおよびｄ）に対して３２ビット・データのＸＯＲ加算する。もっと複雑な、他の動作を他の実施の形態に用いてもよいが、動作ａと関連させて以下に詳細に説明する。本実施の形態で用いるｓボックスは上記の来国特許で説明されているが、説明を完全にするため、以下で同様に説明する。ｍ×ｎ（ｍ＜ｎ）のｓボックスを設計するに当たって、ｎはｍの整数倍とする。特に、ｎ＝ｒｍとし、ここで、ｒ＞１、ｒはｍ＜log₂Ｃ（ｎ，ｎ／２）＝log₂（”ｎ選択ｎ／２”）となるように設定する。このようなｓボックスは以下のように構成される。長さが２^mであるｎ個の異なるバイナリ曲りベクトルφ_iを選択し、これらのベクトルの線形の組み合わせ（モジューロ２）が非線形なベクトルになるようにする。さらに、バイナリ曲りベクトルφ_iの半分が、（２^m-1＋２^(m/2)-1）の重み付けとなるように選択し、残りの半分が（２^m-1−２^(m/2)-1）の重み付けとなるように選択する。これら２つの重み付けは、長さ２^mのバイナリ曲りベクトルに対して可能な重み付けである。ｎベクトルバイナリ曲りベクトルφ_iが、ｓボックスを示すマトリクスＭの列となるように設定する。Ｍが２^mの異なった行を有しているか、また各行のハミング重さと、行の対の間のハミング距離がｎ／２に近いかをチェックする（すなわち、重み付けの組および距離の組は、それぞれｎ／２の平均を有し、あるモものは適当に小さく、ゼロでない変数である）。同様に、Ｍのｉ番目の行がｒ_iである ^m｝、ｉ≠ｊであることが証明される。そうすれば、ゼロでないＸＯＲ入力は、ｓボックスで結果として生じるＸＯＲ出力に等しくならない（これによって、暗号の差分特性の発見が容易になる）。後者の条件は、一般的に言って、ハミング距離条件が満たされていれば保持される。これらの条件が全て満たされない場合、条件が満たされるまで、適切な曲りベクトルφ_i（すなわち、バイナリ曲りベクトル候補）を継続して選択し、結果のマトリクスをチェックする。これらの条件を満たすような８×３２ｓボックスを形成することは困難である。明細書の終わりに添付されている添付書類において、ｓボックス例の組をいくつか示す。本実施の形態において用いられるキー・スケジュールは３つの主要素を有する。すなわち、主キー・ビットを「部分キー」にマッピングする比較的簡単なビット選択アルゴリズム；１以上の「キー変換」ステップ各丸め中で、部分キーからサブキーを生成するために使用される「キー・スケジュール・ｓボックス」の組である。６４ビットキーを用いた８つの丸めアルゴリズムにおけるキー・スケジュール例を以下に述べる。ＫＥＹ＝ｋ₁ｋ₂ｋ₃ｋ₄ｋ₅ｋ₆ｋ₇ｋ₈とする。ここで、ｋ_iは、主キーのｉ番目のバイトである。部分キーＫ’_iは、以下のビット選択アルゴリズムに基づいて、主キーから選択される。Ｋ’₁＝ｋ₁ｋ₂、Ｋ’₂＝ｋ₃ｋ₄、Ｋ’₃＝ｋ₅ｋ₆、Ｋ’₄＝ｋ₇ｋ₈、Ｋ’₅＝ｋ₄ ’ｋ₃’、Ｋ’₆＝ｋ₂’ｋ₁’、Ｋ’₇＝ｋ₈’ｋ₇’、Ｋ’₈＝ｋ₆’ｋ₅’ ここで、丸め４と丸め５の間で、ＫＥＹはＫＥＹ’＝ｋ₁’ｋ₂’ｋ₃’ｋ₄’ｋ₅ ’ｋ₆’ｋ₇’ｋ₈’に変換される。キー変換ステップは、以下のように定義される。ＫＥＹ’のバイトは、上に示したように、最終的な４つの部分キーを構成するために用いられる。部分キーの組は、キー・スケジュールｓボックスＳ₁およびＳ₂を利用して以下に示すサブキーＫ_iを構成するのに用いられる。ここで、Ｋ_i、jは、Ｋ_iのｊ番目のバイトを示す。１２個の丸めシステム、１６個の丸めシステム、または、異なったブロック・サイズまたはキーサイズに対し、同様のケジュールを構成することもできるが、記号を単純化し、説明を具体的にするため、特定の例に限定して説明する。前に説明したように、丸め回数および丸め関数のｓボックスの特質を選択して、差分および線形暗号解析への「計算上の」免疫性を保証することができる。さらなる実施の形態では、特に、動作「ａ」の選択に注意を払って、これらの攻撃（これらの攻撃はもはや行われない）に対して「固有の」免疫性を与えることができる丸め関数中の余分の仕事が供給される。丸め関数を変更する目的は、暗号に向けられた差分および線形暗号解析攻撃の双方の可能性をなくすことにある。これは、非線形のキー依存動作を、ｓボックス参照の前に行い、効果的にｓボックスの組への入力をマスクすることによって達成される。これらの入力をうまく「隠せ」ば、ｓボックスへの実際の入力は知られないため、ｓボックスの（ＸＯＲ入力からＸＯＲ出力へのマッピング、または線形のような）特質が、通常の丸め関数の攻撃に使用されることはない。さらに、本発明の一実施の形態によれば、丸め関数ｆに対する以下の変更が行われる。なわち、Ｋ₁の長さが３２ビットであるか、４８ビットであるかによって、ｆ参考のために番号を付す。形変化を生じさせるように、入力から出力まで非線形マッピングを示さねばならない。らない（コード・サイズおよび複雑さに関して）。より遅くてはならない）。はＥ（Ｒ））入力を効果的に「隠さ」ねばならない（Ｒ値のみ、またはＲ値の対に動作を用いて丸め関数中のキー効果を消去してはならない）。以上の条件を全て含むように見える関数は、適切にモジュールを選択するモジュラ乗算である。もしＲ、Ｋ₁およびＫ₂の長さが３２ビットの場合、候補として挙げられる２つの候補モジュールは、(２³²−１）および（２³²＋１）である。３２ビット・レジスタのみを用いて、高レベル言語で乗算モジューロ（２³²−１）を行う簡単な方法が報告されており、このモジュールを用いた乗算は「完全な」動作であるとされているため（各入力ビットは、各出力ビットを変更する可能性があるという点で）、このモジュールは非線形、単純さ、データ隠匿という条件を満たしている。しかしながら、用いるキーに関わりなく、ゼロは常にゼロにマッピングされ、また（２³²−１）は常に（２³²−１）またはゼロにマッピングされる（実行方法に依存する）ため、このモジュールは理想的には第５の特質を満たしていない。（しかしながら、実用的な動作では、計算したサブキーＫ₂が０または（２³²−１）に絶対等しくならないようにするのは簡単であ ³²−１）に等しくなるようにＲの選択を行うのは容易ではない。）２つの単純な操作のいずれかが実行される場合は、第５の特質に関し、モジュール（２³²−１）よりもモジュール（２³²＋１）を用いるのが好ましい。先ず、各入力を１づつ増加させ、それによって実際には計算が（Ｒ＋１）および（Ｋ＋１）を用いて行われるようにする。従って、ゼロおよび（２³²＋１）の双方の「固定点」を除いた［１，２³²］の組の方が［０，２³²−１］よりも有利である。一方、入力はそのままにし（そうすれば、計算はＲおよびＫを用いて行われる）、ゼロ入力のみが値２³²にマッピングされるようにする（また、反対に２³²出力はゼロにマッピングされる）。このモジュールを用いて乗算を行うのは、モジュール（２³²−１）でなく３２ビットレジスタを有する高レベル言語を用いて、僅かに複雑であるだけであり、組立言語命令が３２ビット乗算動作の全６４ビットの結果にアクセスできる環境では、実に簡単に、また効果的にモジュラを減少させることができる。さらに、（２³²−１）モジュールに関しては、このモジュールとの乗算は、入力から出力への非線形マッピングを示す。第５の特質に関してモジュラ乗算が悪く実行されないようにするには、サブキーＫ₂が、モジュールにおいて相対的に主である必要がある。従って、サブキーを生成するとき、モジュールｎ＝（２³²−１）の場合、各丸めで用いられるＫ₂ は２，３，１７，２５７または６５５３７を因数として有していてはならず、モジュールｎ＝（２³²＋１）の場合には、６４１または６７００４１７を因数として有していてはならない。最後に、サブセット和動作は、モジュラ乗算上に分配されないため、第１の特質を満たすのに、どちらのモジュールを用いてもかまわない。６４ビットのブロックサイズおよびキーサイズ、丸め関数中の４つの８×３２ｓボックスＳ₁・・・Ｓ₄、および各丸め中に３２ビットのサブキーを有するＣＡＳＴ暗号は、１２以上の丸めを用いた場合、キースペースを全数探索するよりも大きい差分および線形攻撃に対するワーク・ファクタを有している。もし動作ａ，ｂ，ｃおよびｄが全てＸＯＲ加算である場合、丸め関数ｆは以下のように単純に求めることができる。ョンで説明する技術を用いると、動作「ａ」の計算を変更したものが生成され、ここで、ｆは同じままであるが、Ｂは以下のように計算される。モジュラ乗算ステップ（（２³²−１）または（２³²＋１）のどちらかをモジュールとして用いる場合）のみに必要であるアッセンブル言語命令は、乗算にはペンティアム級のパソコン（ＰＣ）における丸めの剰余とだいたい同じ時間がかかるので、動作「ａ」が単純なＸＯＲ加算であるＣＡＳＴ暗号と比べると、約２の指数倍の時間がかかる。本発明のさらなる実施の形態において、多くのオプションは、丸め関数動作およびフレームワーク設計に関して使用できる。これらの動作は、安全性と妥協せず、結果として生成される暗号の暗号化／復号化品質を劣化させないように見える。実際には、ある場合には、安全性や性能が強化されているので、これらの選択肢を用いる方がよい。従って、ここまでの段階では、丸め関数における動作ａ，ｂ，ｃおよびｄは、２つのバイナリ値のＥＸ−ＯＲ（すなわちモジューロ２の付加）であるとして説明してきた。しかしながら、代わりに他のバイナリ動作を用いてもかまわない。特に、モジューロ２³²の加算および乗算は、ＥＸ−ＯＲより時間がかからず、従って暗号化／復号化品質をまったく劣化させることもないため魅力的である。そのような選択肢を用いることによって、線形暗号解析に対する安全性が大幅に高められることは実験によって証明されている。しかし、線形および差分特性の双方についてそのような動作をすることは困難である。上で言及したように、本発明の一実施の形態では、余分な計算が（余分なキービットを用いて）丸め関数中で動作「ａ」に付加される。特定の計算では、（２³² −１）または（２³²＋１）のどちらかのモジュールを用いて、他の３２ビット・サブキーの乗算が行われる。しかしながら、この計算を加えることで、２の指数だけの品質劣化が生じる。他の選択肢としては、所定のビット分だけ回転（すなわち、循環シフト）を与えることである。この動作は、暗号ＲＣ−５の主な動作に類似しているが、この回転は、データに依存した回転ではなく、キーに依存した回転（５ビットのサブキーによって制御される）である点で異なっている。キーに依存しているのは、データに依存した回転はファイステル型の構成にはあまり適していないためである。他の実施の形態で６４ビットのブロックサイズを用いて、上記の拡張した「ａ」動作を行うと、以下の様になる。「＜＜＜」は循環左方シフト・オペレータ、Ｋ₁は３２ビットのサブキー、Ｋ₂は５ビットのサブキーを示す。モジュラ乗算と比較すると循環動作の主な利点は対して少しの品質悪化が生じる。回転は、考慮する入力サブセットが全て入力ビットからなるような極端な場合を除けば、全ての場合に関して線形攻撃を防止できるので、上に説明した特質（１）を満足する。この極端なケースがＮ丸め暗号の各丸めに適用された場合、暗号用の線形特性の記述がうまくいく可能性はきわめて低い。従って、ａ，ｂ，ｃおよびｄにおけるバイナリ動作は、４つ全ての場合（例：ＸＯＲ）において同じでなければならないことを以上に説明した。しかしながら、異なったバイナリ動作を用いることも可能である。例えば、ｂおよびｄに関して、付加モジューロ２³²を用い、同時にａおよびｃに関してＸＯＲを用いることも可能である（これはまさに、ブロウフィッシュ（Blowfish）暗号で用いられる組み合わせである）。確かに多くのバリエーションが可能であり、このようなバリエーションが勝っているかの判断は困難であるが、ａ，ｂ，ｃおよびｄで異なった動作を行うことで、暗号全体の安全性を高めることができる（ＩＤＥＡ暗号によって、異なったグループの動作が、暗号の安全性に貢献するという自信をさらに強めることになった）。他の設計上の選択肢として、丸め関数自体の定義を各丸め毎に変えることが挙げられる。従って、Ｎ丸め暗号中に、Ｎ回の異なる丸めを有するか、または各タイプの丸めを特定回数用いて、異なる丸め回数を少なくすることもできる。丸め定義の変更は、上で述べたオプションに基づくか、または、より複雑なものであってもよい。暗号中に、異なる丸めをいくつも設けると、暗号の安全性が高まるかどうかという問題点はいまだに未解決である。しかしながら、このことは、確かに暗号分析を複雑化するようにも見え、また暗号の暗号解析を複雑化するのに効果的である場合もある。ＣＡＳＴ設計手順の詳細な分析を容易にし、また、処理自体の理解を深めるため、このセクションでＣＡＳＴ暗号の一例を示し、付録にもいくつか例を記載した。１２丸めの暗号は、６４ビットのブロックサイズと８０ビットのキーサイズを有している。この暗号に、回転動作を用いて線形および差分攻撃に対する固有の免疫性を与える。この暗号の丸め関数における動作ａ，ｂ，ｃおよびｄに対し、ＸＯＲ動作、加算および除算（モジューロ２³²）を組み合わせて用いた。また、暗号全体の丸め関数自体に３種類の変更を行った。最後に、丸め関数に８×３２ｓのｓボックスを用いた。各ｓボックスは、異なった分配テーブル中の、それぞれ７４の最小非線形および２つの最大エントリを有する。この例の暗号は、キーサイズ（８０ビット）に基づいた暗号強度を有しており、その暗号化／復号化品質は非常に高く、４８９−ＤＸ２６６ＭＨｚのＰＣ上では１Ｍバイト／秒以上、９０ＭＨｚペンティアムでは２．５Ｍバイト／秒以上である。丸めキーの対このＣＡＳＴ暗号では、丸め毎に１対のサブキーを用いる。３２ビット量Ｋｍを「マスキング」キーとして用い、５ビット量Ｋｒを「回転」キーとして用いる。非同一丸めこのＣＡＳＴ暗号例では、３つの異なった丸め関数が用いられる。丸めは以下のようになる（ここで「Ｄ」は、ｆ関数への原入力であり、「Ｉａ」〜「Ｉｄ」は、それぞれＩの最上位バイトおよび最下位バイトまでを示す）。「＋」およびＸＯＲであり、「＜＜＜」は循環左方シフト動作を示す。タイプ１：Ｉ＝（（Ｋ_mi＋Ｄ）＜＜＜Ｋ_ri）タイプ２：タイプ３：Ｉ＝（（Ｋ_mi−Ｄ）＜＜＜Ｋ_ri）丸め１，４，７および１０は、ｆ関数タイプ１を用いる。丸め２，５，８および１１は、ｆ関数タイプ２を用いる。丸め３，６，９および１２は、ｆ関数タイプ３を用いる。キー・スケジュール主な８０ビットキーをＡ＝ａ１ａ２ａ３ａ４ａ５ａ６ａ７ａ８ａ９ａ０とする。ここで、各ａｉはバイトである。Ｋ_m1，・・・，Ｋ_m12は１２個の３２ビット・マスキング・サブキーとする（１丸めに対し１つ）。Ｋ_r1，・・・，Ｋ_r12は１２個の３２ビット回転サブキーとする（１つの丸めに対し１つ）。最下位の５ビットのみを各丸めで用いる。Ｋ_miおよびＫ_riをＡから生成する方法の詳細は、付録を参考のこと。代用ボックスこのＣＡＳＴ暗号の例では、８つの代用ボックスを用いる。ｓボックスＳ１，Ｓ２，Ｓ３およびＳ４は、丸め関数ｓボックスであり、Ｓ５，Ｓ６，Ｓ７およびＳ８は、キー・スケジュール・ボックスである。ｓボックスの内容に関しては、付録を参照のこと。ＣＡＳＴ設計手順は、差分暗号解析、線形暗号解析および関連キー暗号解析に対し、証明できる対抗力を持つ暗号化アルゴリズムのファミリーを生成するのに用いることができる。ＣＡＳＴ暗号は、他の複数の望ましい暗号特質を有しており、共通計算プラットフォーム上での暗号化／復号化速度も速い。この書面において説明した、暗号委員会のメンバーによって開示された手続きの分析は、提供された設計の種々の側面の信頼性を高めるものである。付録この付録は、以上に説明したＣＡＳＴ暗号の全詳細を提供する。キー・スケジュール主な８０ビットキーをＡ＝ａ１ａ２ａ３ａ４ａ５ａ６ａ７ａ８ａ９ａ０とする。ここで、各ａｉはバイトである。Ｋ_m1，・・・，Ｋ_m12は１２個の３２ビット・マスキング・サブキーとする（１丸めに対し１つ）。Ｋ_r1，・・・，Ｋ_r12は１２個の３２ビット回転サブキーとする（１丸めに対し１つ）。最下位の５ビットのみを各丸めで用いる。ｂ１・・・ｂ８〜ｇ１・・・ｇ８、およびｂｗ，ｂｘ，ｂｙ，ｂｚ〜ｇｗ，ｇｘ，ｇｙ，ｇｚは中間（一時的）バイトとする。サブキーは、主キーから以下の方法で求める。マスキング・サブキー回転サブキー代用ボックスこのＣＡＳＴ暗号例は、８つの代用ボックスを用いる。ｓボックスＳ１、Ｓ２、Ｓ３およびＳ４は丸め関数ｓボックス、Ｓ５、Ｓ６、Ｓ７およびＳ８はキー・スケジュールＳボックスである。ｓボックスの内容は、１０進法で書き込まれており、左から右、上から下の方向に読む。ｓボックスの組の２つの例を以下の頁に記載する。

【手続補正書】特許法第１８４条の８第１項【提出日】１９９７年１１月２０日（１９９７．１１．２０）【補正内容】以下の下線部分が３４条補正の訂正部分です。ＮＴＴレビューの新たな文献が挿入されました。他の点は変更ありません。明細書 …… しかしながら、所定の暗号に対し、丸め確率は追加の丸めをしないで済む程度に十分小さくできない可能性が常にある。さらに、所定の暗号に対し、最適の特性が見つからないという可能性も常に存在する（見つかった場合は、暗号解読は壊されることがある）。ＤＥＳをさらに改良したものが、ミヤグチ著、「キー制御によって暗号化アルゴリズムを変える機密キー暗号」、ＮＴＴレビュー、Ｖｏｌ．６、第４号、１９９４年７月、第８５頁〜第９０頁に記載されている。この記事には、（疑似）差分フィルタがＤＥＳのｆ機能にカスケードにまたは並列に接続され、ＤＥＳの安全性を強化している。本発明の設計手順は、以上の方法のどちらをも用いない。その代わりに、本発明は典型的なＤＥＳ風の丸め関数を少しだけ変化させ、差分および線形暗号解析に対して「固有の免疫性」（計算上の免疫性に対する）とする。このように、丸め関数を少しだけ変化させる方法は、全てのＤＥＳ風の暗号に利用することができ、暗号によっては、暗号化／復号化速度にほとんど劣化がないように追加できる。発明の目的従って、本発明の目的は、対称暗号に対して新しい構成手順を提供することにある。また、本発明の目的は、差分暗号解析、線形暗号解析、関連キー暗号解析のような１以上の所望の特質を有する新しい対称暗号を提供することにある。さらに、本発明の目的は、新しい丸め関数を用いて、平文を暗号テキストに暗号変換する方法を提供することにある。発明の概要簡単に述べると、本発明の１実施の形態によれば、本発明は、各データ・ブロックの半分の複数の連続した変換丸めを有する所定のビット長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法に関する。各連続変換丸めは、第１のバイナリ動作を用いて、半分のデータ（半データという）・ブロックを所定の長さの第１のマスキング・キーと組み合わせ、第１の変更後の半データ・ブロックを生成し、第２の異なったバイナリ動作を用いて、第１の変更後の半データ・ブロックを、所定の長さの第2のマスキング・キーと組み合わせ、第２の変更後の半データ・ブロックを生成する。この方法は、さらに、ｍおよびｎが正整数の時、複数の（ｍ×ｎ）個の相互に異なった代用ボックスを用いて、第２の変更後の半データ・ブロックを処理し、第３の変更後の半データ・ブロックを生成し、第３の変更後の半データ・ブロックと、データブロックの残りの半分をＸＯＲ処理し、変換丸めの変換後の半データ・ブロックを生成する。図面の簡単な説明図１は、既知のＳＰＮ（代用置換ネットワーク）暗号を示す図である。図２は、本発明の一実施の形態による丸め関数を示す図である。発明の実施の形態以上説明した通り、フレームワーク設計中の主パラメータで選択できるのは、ブロックサイズおよび丸め回数である。多くの利用法において、平文のブロックサイズと暗号文のブロックサイズが同じであることが望ましい（以下では、暗号のブロックサイズと呼ぶことにする）。しかしながら、１つのキーに対して平文／暗号文対の総てのコンパイルをしない程度にブロックサイズが大きいという制約を別にすれば、ブロックサイズを考慮するのみで具体化が容易にできる。現在のマシンでは、データの左右半分のそれぞれおよびその他の変数が、３２ビット・レジスタにうまい具合に適応するため、６４ビット（ＤＥＳのブロックサイズ）を選択するのが魅力的である。しかしながら、将来的には、他の理由から、他のビット数を選択するのが都合が良くなるかもしれない。フレームワーク中の丸め回数を決定するのは、より重要かつ繊細な問題である。所定のレベルの安全性を提供するには十分な丸め回数が必要であるが、目的のアプリケーションに対し、暗号の速度が受け入れられない程遅いことはそんなに多くはない。ファイステル・タイプのＳＰＮでは、以下の下線部分が３４条補正の訂正部分です。請求項１，２，３，１１のみが修正されています。請求の範囲１．各データ・ブロックの半分の複数の連続した変換丸めを有する所定のビット長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、各連続変換丸めは、第１のバイナリ動作を用いて、半分のデータ（以下半データという）・ブロックを所定の長さの第１のマスキング・キーと組み合わせ、第１の変更後の半データ・ブロックを生成し、第２の異なったバイナリ動作を用いて、第１の変更後の半データ・ブロックを、所定の長さの第２のマスキング・キーと組み合わせ、第２の変更後の半データ・ブロックを生成し、ｍおよびｎが正整数（ｍ＜ｎ）の時、複数の（ｍ×ｎ）個の相互に異なった代用ボックスを用いて、第２の変更後の半データ・ブロックを処理し、第３の変更後の半データ・ブロックを生成し、第３の変更後の半データ・ブロックと、データブロックの残りの半分をＸＯＲ処理し、変換丸めの変換後の半データ・ブロックを生成することを特徴とするデータ暗号化方法。２．請求項１記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換する、データ暗号化方法において、第１のバイナリ動作は、加算モジューロ２ⁿ、減算モジューロ２ⁿ、またはビット方向ＸＯＲのいずれかであり、第２のバイナリ動作は乗算モジューロ（２ⁿ− １）、または乗算モジューロ（２ⁿ＋１）のいずれかであることを特徴とするデータ暗号化方法。３．請求項１記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、第１のバイナリ動作は、加算モジューロ２ⁿ、減算モジューロ２ⁿ、またはビット方向ＸＯＲのいずれかであり、第２のバイナリ動作は、第２のマスキング・キーによって特定されるビット数分の循環シフトであることを特徴とするデータ暗号化方法。４．請求項１記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、全ての変換丸めに対する全ての第１のマスキング・キーおよび全ての第２のマスキング・キーは、第１の変換丸めが行われる前に生成されることを特徴とするデータ暗号化方法。５．請求項４記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、全ての変換丸めに対する全ての第１のマスキング・キーおよび全ての第２のマスキング・キーは、部分的に曲げ関数に基づいた複数の（ｍ×ｎ）代用ボックスによってキー・ビットから生成され、キー・ビットは、ｋ１，ｋ２，ｋ３，・・・，ｋ（ｚ−１），ｋｚ（ここでｚは正整数とする）の順序のｚバイトのキー・パターンを有することを特徴とするデータ暗号化方法。６．請求項５記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、各データ・ブロックは６４ビットを有し、代用ボックスは、部分的に曲げ関数に基づいた８つの８×３２のｓボックス（Ｓ１，Ｓ２，Ｓ３，・・・、Ｓ８）であり、キー・ビットは、ｋ１，ｋ２，ｋ３，・・・，ｋ９，ｋ０の順序の１０バイトのキー・パターンを有することを特徴とするデータ暗号化方法。７．請求項５記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、変換丸め関数手段は、第１のマスキング・キーおよび第２のマスキング・キーを生成する部分的な曲げ関数に基づいた第１の複数の（ｍ×ｎ）ｓボックスと、第２の変更後の半データを処理する部分的に曲げ関数に基づいた第２の複数の（ｍ×ｎ）ｓボックスとを備えたことを特徴とするデータ暗号化方法。８．請求項６記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、変換丸め関数手段は、第１のマスキング・キーおよび第２のマスキング・キーを生成する部分的に曲げ関数に基づいた第１の複数の（ｍ×ｎ）ｓボックスと、第２の変更後の半データを処理する部分的に曲げ関数に基づいた第２の複数の（ｍ×ｎ）ｓボックスを備えたことを特徴とするデータ暗号化方法。９．請求項８記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、第１の複数のｓボックスは、部分的に曲げ関数に基づいた４つの８×３２のｓボックスを備え、第２の複数のｓボックスは、部分的に曲げ関数に基づいた４つの８×３２のｓボックスを備えることを特徴とするデータ暗号化方法。１０．請求項１記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、１つ以上の連続した変換丸めは、相互に異なった第１および第２のバイナリ動作の組を含むことを特徴とするデータ暗号化方法。１１．請求項１０記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、いずれかの特定の丸めに用いられる特定のバイナリ動作は、第１のマスキング・キーまたは第２のマスキング・キーの所定のビット、または動作が行われる半データ・ブロックのいずれかに基づいて選択されることを特徴とするデータ暗号化方法。１２．請求項１０記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、各変換丸めに用いる特定のバイナリ動作は、全ての実行に対して完全に特定されており、キー・ビットまたはデータ・ビットから独立していることを特徴とするデータ暗号化方法。１３．請求項１２記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、バイナリ動作加算モジューロ２ⁿ、減算モジューロ２ⁿ、およびビット方向ＸＯＲ、半データ・ブロックを第１のマスキング・キーと組み合わせて用い、また第２の変更後の半データ・ブロック処理の結果として生じるｓボックスの出力を組み合わせることを特徴とするデータ暗号化方法。１４．請求項１３記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、以下の３種の異なった変換丸めが用いられ、タイプ１：Ｉ＝((Ｋｍｉ＋Ｄ)＜＜＜Ｋｒｉ) タイプ３：Ｉ＝((Ｋｍｉ−Ｄ)＜＜＜Ｋｒｉ) ここで、「Ｄ」は変換丸めへの原入力、「Ｉａ」〜「Ｉｄ」はＩの最上位バイト〜最下位バイトをそれぞれ示し、「Ｏ」は変換丸めからの出力、「＋」および「＜＜＜」は循環左方シフト動作を示すことを特徴とするデータ暗号化方法。１５．請求項１４記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、全部で１２回の変換丸めを用い、丸め１，４，７および１０には変換丸めタイプ１を用い、丸め２，５，８および１１には変換丸めタイプ２を用い、丸め３，６，９および１２には変換丸めタイプ３を用ることを特徴とするデータ暗号化方法。

───────────────────────────────────────────────────── フロントページの続き (72)発明者ワイエナー・マイケル・ジェームズカナダ国，ケイ２ジェイ３ゼット４，オンタリオ，ネピーン，ヘネピンストリート 20 (72)発明者ロックハート・ローランド・トーマスカナダ国，ケイ２エル２ダブリュー３, オンタリオ，カナタ，リストンクレッセント 27

Claims

【特許請求の範囲】１．各データ・ブロックの半分の複数の連続した変換丸めを有する所定のビット長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、各連続変換丸めは、第１のバイナリ動作を用いて、半分のデータ（以下半データという）・ブロックを所定の長さの第１のマスキング・キーと組み合わせ、第１の変更後の半データ・ブロックを生成し、第２の異なったバイナリ動作を用いて、第１の変更後の半データ・ブロックを、所定の長さの第２のマスキング・キーと組み合わせ、第２の変更後の半データ・ブロックを生成し、ｍおよびｎが正整数の時、複数の（ｍ×ｎ）個の相互に異なった代用ボックスを用いて、第２の変更後の半データ・ブロックを処理し、第３の変更後の半データ・ブロックを生成し、第３の変更後の半データ・ブロックと、データブロックの残りの半分をＸＯＲ処理し、変換丸めの変換後の半データ・ブロックを生成することを特徴とするデータ暗号化方法。２．請求項１記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換する、データ暗号化方法において、第１のバイナリ動作は、加算モジューロ２ⁿ、減算モジューロ２ⁿ、またはビット方向ＸＯＲであり、第２のバイナリ動作は乗算モジューロ（２ⁿ−１）、または乗算モジューロ（２ⁿ＋１）であることを特徴とするデータ暗号化方法。３．請求項１記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、第１のバイナリ動作は、加算モジューロ２ⁿ、減算モジューロ２ⁿ、またはビット方向ＸＯＲであり、第２のバイナリ動作は、第２のマスキング・キーによって特定されるビット数分の循環シフトであることを特徴とするデータ暗号化方法。４．請求項１記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、全ての変換丸めに対する全ての第１のマスキング・キーおよび全ての第２のマスキング・キーは、第１の変換丸めが行われる前に生成されることを特徴とするデータ暗号化方法。５．請求項４記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、全ての変換丸めに対する全ての第１のマスキング・キーおよび全ての第２のマスキング・キーは、部分的に曲げ関数に基づいた複数の（ｍ×ｎ）代用ボックスによってキー・ビットから生成され、キー・ビットは、ｋ１，ｋ２，ｋ３，・・・，ｋ（ｚ−１），ｋｚ（ここでＺは正整数とする）の順序のｚバイトのキー・パターンを有することを特徴とするデータ暗号化方法。６．請求項５記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、各データ・ブロックは６４ビットを有し、代用ボックスは、部分的に曲げ関数に基づいた８つの８×３２のｓボックス（Ｓ１，Ｓ2，Ｓ３，・・・、Ｓ８）であり、キー・ビットは、ｋ１，ｋ２，ｋ３，・・・，ｋ９，ｋ０の順序の１０バイトのキー・パターンを有することを特徴とするデータ暗号化方法。７．請求項５記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、変換丸め関数手段は、第１のマスキング・キーおよび第２のマスキング・キーを生成する部分的な曲げ関数に基づいた第１の複数の（ｍ×ｎ）ｓボックスと、第２の変更後の半データを処理する部分的に曲げ関数に基づいた第２の複数の（ｍ×ｎ）ｓボックスとを備えたことを特徴とするデータ暗号化方法。８．請求項６記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、変換丸め関数手段は、第１のマスキング・キーおよび第２のマスキング・キーを生成する部分的に曲げ関数に基づいた第１の複数の（ｍ×ｎ）ｓボックスと、第２の変更後の半データを処理する部分的に曲げ関数に基づいた第２の複数の（ｍ×ｎ）ｓボックスを備えたことを特徴とするデータ暗号化方法。９．請求項８記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、第１の複数のｓボックスは、部分的に曲げ関数に基づいた４つの８×３２のｓボックスを備え、第２の複数のｓボックスは、部分的に曲げ関数に基づいた４つの８×３２のｓボックスを備えることを特徴とするデータ暗号化方法。１０．請求項１記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、１つ以上の連続した変換丸めは、相互に異なった第１および第２のバイナリ動作の組を含むことを特徴とするデータ暗号化方法。１１．請求項１０記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、いずれかの特定の丸めに用いられる特定のバイナリ動作は、第１のマスキング・キーまたは第２のマスキング・キーの所定のビットに基づいて、または動作が行われる半データ・ブロック中の所定のビットに基づいて選択されることを特徴とするデータ暗号化方法。１２．請求項１０記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、各変換丸めに用いる特定のバイナリ動作は、全ての実行に対して完全に特定されており、キー・ビットまたはデータ・ビットから独立していることを特徴とするデータ暗号化方法。１３．請求項１２記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、バイナリ動作加算モジューロ２ⁿ、減算モジューロ２ⁿ、およびビット方向ＸＯＲ、半データ・ブロックを第１のマスキング・キーと組み合わせて用い、また第２の変更後の半データ・ブロック処理の結果として生じるｓボックスの出力を組み合わせることを特徴とするデータ暗号化方法。１４．請求項１３記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、以下の３種の異なった変換丸めが用いられ、タイプ１：Ｉ＝((Ｋｍｉ＋Ｄ)＜＜＜Ｋｒｉ) タイプ３：Ｉ＝((Ｋｍｉ−Ｄ）＜＜＜Ｋｒｉ) ここで、「Ｄ」は変換丸めへの原入力、「Ｉａ」〜「Ｉｄ」はＩの最上位バイト〜最下位バイトをそれぞれ示し、「Ｏ」は変換丸めからの出力、「＋」および「＜＜＜」は循環左方シフト動作を示すことを特徴とするデータ暗号化方法。１５．請求項１４記載の所定のバイト長のデータ・ブロックで、平文を暗号テキストに暗号変換するデータ暗号化方法において、全部で１２回の変換丸めを用い、丸め１，４，７および１０には変換丸めタイプ１を用い、丸め２，５，８および１１には変換丸めタイプ２を用い、丸め３，６，９および１２には変換丸めタイプ３を用ることを特徴とするデータ暗号化方法。